एआई भेद्यता खोज विश्लेषण: सतत ट्रायेज

पुराने वल्नरेबिलिटी प्रोग्राम के पास एक कैलेंडर था। शुक्रवार को स्कैन करें, सोमवार को ट्रायाज करें, और पैच तब लगाएँ जब चेंज बोर्ड Apache को परिवार की विरासत समझना बंद करे। AI उस लय को प्यारी तरह से पुराना दिखा रहा है, जैसे अपने incident response plan को ऐसे प्रिंटर पर फैक्स करना जो खुद भी आग में हो।

Google की ताज़ा चेतावनी यह नहीं है कि अब हर exploit रोबोट की पोशाक पहनकर आता है। बात यह है कि discovery, validation, और exploitation अब उसी operational window में सिमट रहे हैं। Builders के लिए, इसका मतलब है कि काम कभी-कभी bugs ढूँढने से बदलकर लगातार यह तय करने का हो गया है कि कौन-सी flaws सच में मायने रखती हैं, इससे पहले कि कोई और आपके लिए यह फैसला कर दे।

स्कैनर अपनी वीकेंड वाली नौकरी खो रहा है

Google ने इस बदलाव को अपने Cloud analysis, Vulnerability Discovery and Exploitation Trends in the AI Era, में समझाया, जबकि The Record ने रिपोर्ट किया कि Google के अनुसार AI द्वारा exploitation को बढ़ावा मिलने से vulnerability disclosures दोगुनी होकर प्रति माह 10,000 हो गई हैं। CERT-EU operational दर्द को और साफ शब्दों में बताता है, यह कहते हुए कि Google के M-Trends 2026 के अनुसार, newly disclosed vulnerabilities को exploit करने का mean time अनुमानित रूप से negative seven days तक गिर गया है। Security dialect से अनुवाद: exploitation अक्सर patch मौजूद होने से पहले शुरू हो जाता है, जो rude, efficient, और इस industry के हिसाब से बहुत ही on brand है।

Security Solutions Media रिपोर्ट करता है कि Mandiant का Agentic Vulnerability Discovery Harness, या AVDH, source code का analysis करने, threat models बनाने, data और execution paths trace करने, और potential vulnerabilities test करने के लिए specialized AI agents का उपयोग करता है। यह भी रिपोर्ट करता है कि Mandiant ने 10 महीनों में AVDH का उपयोग करके करोड़ों lines of code का analysis किया और हज़ारों analysis pipelines चलाए। यह human security judgment का replacement नहीं है; यह एक बहुत तेज intern है जिसके पास sleep cycle नहीं है और edge cases में suspicious interest है।

@title एजेंटिक वल्नरेबिलिटी रिव्यू
@source Security Solutions Media

  Source code
     │
     ▼
  Threat models
     │
     ▼
  Data execution paths
     │
     ▼
  Potential vulnerabilities

@caption AVDH review को modelled research steps में तोड़ता है।

Queue periodic क्यों नहीं रह जाती

CERT-EU कहता है कि AI-powered tools vulnerability discovery की economics बदल रहे हैं और traditional patch cycle को तोड़ रहे हैं। इसका मतलब यह नहीं है कि हर CVE को siren और war room मिलना चाहिए, क्योंकि इसी तरह teams burn out होती हैं और Jira tickets के नाम grief के stages पर रखने लगती हैं। इसका मतलब है कि vulnerability management को continuous triage के करीब जाना होगा, जहाँ exploitability, exposure, asset importance, और available mitigations को evidence बदलने पर फिर से check किया जाता है।

Builders के लिए practical lesson यह है कि scanning को एक input मानें, पूरा program नहीं। अगर AI ज़्यादा suspected flaws ढूँढने में मदद करता है, तो teams को validation pipelines चाहिए जो reachable, exploitable issues को theoretical lint confetti से अलग करें। Patch prioritization को architecture से भी जोड़ा जाना चाहिए: internet-facing code, privilege boundaries, identity systems, और critical infrastructure paths को low-risk backlog archaeology के पीछे शालीनता से इंतज़ार नहीं करना चाहिए।

Threat actors को भी memo मिल गया

Google Threat Intelligence Group ने मई 2026 में रिपोर्ट किया कि उसने adversary workflows में early AI-enabled operations से generative models के industrial-scale use की ओर transition track किया है। उसी report में, GTIG ने कहा कि उसने पहली बार एक threat actor की पहचान की है जो ऐसा zero-day exploit इस्तेमाल कर रहा था जिसे वह AI से develop किया गया मानता है। Google ने कहा कि criminal threat actor इसे mass exploitation event में इस्तेमाल करने की योजना बना रहा था, और यही movie का वह हिस्सा है जहाँ vulnerability management team चुपचाप अपने weekend plans delete कर देती है।

Motivation कोई रहस्य नहीं है। Threat actors AI का उपयोग वहाँ करते हैं जहाँ वह cost घटाता है, analysis तेज करता है, या repetitive work को scale करने में मदद करता है। Defenders भी यही कर सकते हैं, लेकिन बेहतर taste और ideally कम subpoenas के साथ: continuous code review, exploitability checks, fixes के लिए regression tests, और discovery से owner तक तेज routing।

इसका आपके लिए असल मतलब क्या है

Google की Chrome security team कहती है कि Chrome vulnerability discovery, triage, और patching को automate करने के लिए Gemini AI का उपयोग करता है, जिससे updates modern security risks से match करने के लिए तेज होते हैं। यह सबसे साफ preview है कि mature programs किस दिशा में जा रहे हैं: एक heroic quarterly scan नहीं, बल्कि एक loop जो product shipping जारी रहने के दौरान flaws ढूँढता, validate करता, fix करता, और उनसे सीखता है। Patch notes paperwork जैसे कम और serialized survival literature जैसे ज़्यादा बनते जा रहे हैं।

Individual users के लिए, boring advice अभी भी परेशान करने वाली हद तक सही है: automatic updates enable करें, browsers जब आपको याद दिलाएँ तो restart करें, और update prompts को अपने operating system का spam समझना बंद करें। Builders और security teams के लिए, move ज़्यादा structural है: जो आप run करते हैं उसकी inventory बनाएँ, जानें कि कौन-से code paths exposed हैं, pipeline में exploitability validation जोड़ें, और patch priority को living decision बनाएँ। Vulnerability management का future machine speed पर panic नहीं है। यह machine speed पर disciplined triage है, जिसमें humans अभी भी यह जानने के लिए responsible हैं कि असल में क्या मायने रखता है।